Conseils d’implémentation pour ArcGIS Enterprise

Les paragraphes suivants décrivent les pratiques conseillées à observer dans le cadre d’un déploiement de ArcGIS Enterprise.

Paramètres de sécurité de l'application

Les pratiques suivantes sont recommandées pour les instances sécurisées de ArcGIS Enterprise. En fonction du type d’utilisation spécifique, il est recommandé d’utiliser les paramètres de niveau application suivants lors d’une implémentation ArcGIS Enterprise :

• Exigez HTTPS dans votre implémentation ArcGIS Enterprise.
  • Le protocole HTTPS permet de chiffrer et de protéger vos données en transit.
• N’exposez pas les interfaces ArcGIS Server Manager, Server Admin ou Portal Admin au public.
  • Pour ce faire, déployez ArcGIS Web Adaptor ou un proxy inversé.
• Désactivez les répertoires des services et du portail pour les systèmes de production.
  • Ce répertoire peut constituer un outil de développement pratique ; Esri recommande toutefois de le désactiver pour les systèmes de production si vous ne souhaitez pas que les utilisateurs parcourent votre liste de services, recherchent vos services sur le Web ou envoient des requêtes vers vos services par le biais de formulaires HTML.
• Désactivez les opérations ayant trait aux requêtes de service (lorsque cela est possible).
  • Lorsque ce type d’opération n’est pas nécessaire à un service donné, désactivez-le pour réduire la surface d’attaque potentielle.
• Désactivez le compte d’administrateur de site principal ArcGIS Server, et rétrogradez ou supprimez le compte d’administrateur initial Portal for ArcGIS.
  • La désactivation des comptes par défaut garantit un chemin d’accès unique aux administrateurs identifiés dans le magasin d’identifiants de l’entreprise et accroît les responsabilités.
• Limitez l’utilisation des bases de données commerciales sous votre site Web.
  • Interdisez tout accès direct (ou indirect) à la base de données de l’entreprise par les utilisateurs publics. Une géodatabase fichier peut être un intermédiaire utile et permettre de réduire les attaques potentielles par injection de code SQL.
• Activez les requêtes SQL standardisées.
  • Activez cette option de sécurité dans ArcGIS Enterprise pour mieux vous protéger contre les attaques par injection de code SQL.
• Restreignez les requêtes interdomaines.
  • Restreignez l’utilisation des ressources ArcGIS Enterprise aux applications figurant dans une liste blanche de domaines approuvés.
• Utilisez le service d’impression ArcGIS Online au lieu du service d’impression ArcGIS Server pour les applications à destination du public (accessibles en dehors du pare-feu d’entreprise).
  • Ainsi, vous pourrez décharger les requêtes dans l’infrastructure cloud et empêcher l’émission de requêtes de service Web directement dans une instance ArcGIS Server interne.
  • Si vous devez utiliser le service d’impression ArcGIS Server en externe, déployez toujours l’instance ArcGIS Enterprise à destination du public dans la zone DMZ et non en interne sur un réseau approuvé.

Pour plus d’informations, reportez-vous aux sections Pratiques conseillées en matière de sécurité pour ArcGIS Server et Pratiques conseillées en matière de sécurité pour Portal for ArcGIS.

Mises à jour de sécurité

Les vulnérabilités présentant un risque de niveau modéré à élevé sont traitées dans le cadre des correctifs de sécurité standard, qui sont publiés pour les versions LTS (de support à long terme) des produits ArcGIS Enterprise toujours en phases de disponibilité générale et de support étendu. Le niveau de risque est déterminé par une évaluation interne à l’aide de la formule CVSSv3. Pour connaître les phases de support, reportez-vous aux définitions du cycle de vie des produits Esri et au billet de blog sur la mise à jour du cycle de vie des produits ArcGIS Enterprise intitulé Update to ArcGIS Enterprise Product Lifecycle, qui décrit les versions STS et LTS.

Les vulnérabilités exploitables avérées de niveau critique sont rares dans les produits Esri. Lorsqu’une vulnérabilité exploitable avérée de niveau critique est détectée dans un logiciel Esri, Esri peut publier un correctif pour toutes les versions actuellement prises en charge du logiciel ArcGIS affecté, indépendamment de leur phase de support ou de la disponibilité de versions LTS.

Les correctifs de sécurité de ArcGIS Enterprise ont un caractère cumulatif et comprennent tous les correctifs de sécurité déjà publiés pour la version ArcGIS Enterprise ciblée par le correctif.

Authentification

L'authentification implique la vérification des informations d'identification lors d'une tentative de connexion afin de confirmer l'identité du client.

• Exigez une authentification sur les services ArcGIS Enterprise via l’authentification au niveau du SIG ou du Web. Si vous utilisez Portal for ArcGIS de manière fédérée avec votre site ArcGIS Server, vos clients peuvent également utiliser des identifiants de connexion d’entreprise via SAML 2.0 ou OpenID Connect.
  • Authentification au niveau du SIG : utilise le modèle d’authentification à base de jetons d’ArcGIS et le magasin d’utilisateurs intégré.
  • Authentification au niveau du Web : utilise n’importe quelle méthode d’authentification prise en charge par le serveur Web, notamment l’authentification Windows intégrée, ou tire parti de l’infrastructure à clé publique existante d’une organisation.
  • Identifiants de connexion d’organisation : si Portal for ArcGIS est fédéré et qu’ArcGIS Server fait partie d’un déploiement ArcGIS Enterprise, vous pouvez également utiliser des identifiants de connexion SAML logins ou Open ConnectID.
    • Intégration avec un fournisseur d’identités SAML 2.0 ou OpenID Connect pour une authentification unique Web.
    • SAML et OpenID Connect sont des normes ouvertes qui permettent un échange sécurisé des données d’authentification entre un fournisseur d’identités et un fournisseur de serveur (dans ce cas, Portal for ArcGIS).

Autorisation

Le processus d'autorisation consiste à vérifier les autorisations client avant l'accès à une ressource ou l'accomplissement d'une fonction spécifique.

• Effectuez un contrôle d’accès en fonction du rôle.
  • Utilisez un modèle de moindre privilège pour gérer les rôles dans ArcGIS Enterprise.
  • Attribuez uniquement les privilèges nécessaires à un utilisateur pour accomplir les fonctions requises.
• Les rôles par défaut disponibles dans ArcGIS Server sont les suivants :
  • Administration
  • Publication
  • Utilisateur
• Si vous utilisez Portal for ArcGIS, il est recommandé de recourir à des rôles personnalisés selon un principe de moindre privilège pour définir l’accès des utilisateurs de manière plus granulaire.

Chiffrement

Le chiffrement consiste à transformer des données afin qu'elles deviennent illisibles à ceux qui n'ont pas accès à une clé de déchiffrement.

• Chiffrez les données en transit en activant le protocole HTTPS dans ArcGIS Enterprise.
  • Utilisez le protocole TLS 1.2.
  • Utilisez l’infrastructure de certificats existante et les certificats signés par une autorité de certification tierce de confiance.
• Chiffrez les données entreposées (dans la mesure du possible), en particulier pour les jeux de données confidentielles.
  • Pour les bases de données, utilisez le chiffrement transparent des données.
  • Pour les référentiels de fichiers, utilisez le chiffrement du disque entier.
• Utilisez des algorithmes de chiffrement renforcé.
  • Le chiffrement est un domaine en constante évolution et l’utilisation d’algorithmes anciens est toujours risquée.
  • Surveillez les organismes de normalisation, tels que NIST, pour connaître les recommandations.

Journalisation et audit

La journalisation consiste à enregistrer des événements présentant un intérêt au sein d’un système. L’audit consiste à inspecter ces journaux pour s’assurer que le système fonctionne correctement ou pour répondre à une question spécifique concernant une transaction en particulier qui s’est produite.

• Consignez les événements présentant un intérêt, tels que l’auteur de la publication des services.
• Assurez la journalisation à l’échelle du système, au niveau de l’application, du système d’exploitation et du réseau.
• Assurez-vous que les journaux sont examinés selon un intervalle défini par l’organisation.
• L’utilisation d’une solution SIEM (Security Information and Event Management, gestion des événements et des informations de sécurité) facilite la corrélation automatique.

Sécurisation

La sécurisation consiste à configurer de manière sécurisée les systèmes afin de réduire autant que possible les risques de sécurité. La surface d’attaque peut être minimisée sur un système donné au moyen des méthodes suivantes :

• Implémentation de la sécurisation au niveau de l’application, en suivant par exemple le conseil indiqué ci-dessus.
• Suppression des logiciels inutiles.
• Désactivation des services inutiles.
• Consultation de conseils de sécurisation supplémentaires propres à l’application, tels que ceux figurant dans le guide de renforcement de la sécurité ArcGIS Server (STIG) d’Esri.
• Application de stratégies de base des fournisseurs de systèmes d’exploitation, à l’aide d’outils tels que le kit d’outils Sécurité et conformité de Microsoft.
• Consultation de consignes de sécurité provenant d’organismes indépendants, notamment les tests d’évaluation sécuritaires établis par le Center for Internet Security (CIS).

Validation de la sécurité de ArcGIS Server

Le script serverScan.py se trouve dans le répertoire <ArcGIS Server installation location>/tools/admin. Exécutez le script à partir de la ligne de commande ou de l'interface de commande. Vous pouvez spécifier des paramètres lors de l’exécution du script.

Si vous exécutez le script serverScan.py sans spécifier de paramètres, vous êtes invité à les saisir manuellement ou à sélectionner la valeur par défaut. Pour utiliser un jeton, vous devez le fournir en tant que paramètre lors de l’exécution du script.

L’analyse génère un rapport au format HTML qui dresse la liste des problèmes ci-dessus détectés sur le site ArcGIS Server.

Par défaut, le rapport est enregistré dans le dossier dans lequel vous exécutez le script et se nomme serverScanReport_[hostname]_[date].html.

Validation de la sécurité de Portal for ArcGIS

Le script portalScan.py se trouve dans le répertoire <Portal for ArcGIS installation location>\tools\security. Exécutez le script à partir de la ligne de commande ou de l'interface de commande. Vous pouvez spécifier un ou plusieurs paramètres lors de l’exécution du script.

Si vous exécutez le script portalScan.py sans spécifier de paramètres, vous êtesinvité à les saisir manuellement ou à sélectionner la valeur par défaut. Pour utiliser un jeton, vous devez le fournir en tant que paramètre lors de l’exécution du script.

L'analyse génère un rapport au format HTML qui dresse la liste des problèmes ci-dessus qui ont été détectés dans le portail spécifié.

Par défaut, le rapport est enregistré dans le dossier dans lequel vous exécutez le script et se nomme portalScanReport_[hostname]_[date].html.

Ressources supplémentaires

Vous trouverez des informations supplémentaires sur les pratiques conseillées pour ArcGIS Server dans la documentation du produit.